Poorten en verbindingen controleren met de opdracht Netstat

Netstat is eigenlijk best handig wanneer je je netwerkgegevens gaat onderzoeken – zaken als actieve verbindingen, open poorten en welke services meeluisteren. Soms is het vreemd om onbekende verbindingen of poorten te zien die niet open zouden moeten zijn, vooral wanneer je pc traag reageert of je gewoon paranoïde bent over mogelijke malware. Door Netstat op de juiste manier te gebruiken, kun je die verdachte processen of vastgelopen verbindingen opsporen, het is dus een soort netwerkdetectivetool. Niet altijd perfect, maar het geeft een goed beeld van wat er achter de schermen gebeurt. Houd er rekening mee dat de uitvoer er vaak verwarrend uit kan zien, vooral als je niet bekend bent met alle switches of niet weet hoe je de resultaten moet interpreteren. Maar als je het eenmaal onder de knie hebt, is het een snelle manier om te controleren of er iets vreemds aan de hand is – zoals onverwachte externe IP-adressen of poorten die niet open zouden moeten zijn.

Netstat gebruiken op Windows

Netstat op Windows uitvoeren

Allereerst moet je een opdrachtregel openen met beheerdersrechten, omdat veel informatie die Netstat geeft, verhoogde rechten vereist. Zo doe je dat:

• Klik op Start en typ cmd.
• Klik met de rechtermuisknop op Opdrachtprompt en selecteer Als administrator uitvoeren. Als u dit niet doet, werken sommige opties niet.
• Typ netstaten klik op Enter. Dit toont een basislijst met verbindingen.

Als je foutmeldingen krijgt zoals ‘netstat niet herkend’ of zoiets, kan dat betekenen dat je PATH-variabelen niet kloppen – wat een heel ander probleem is. Maar meestal werkt het gewoon als je de opdrachtprompt als beheerder opent. Sommige handleidingen vermelden ook openen vanuit PowerShell – hetzelfde verschil, typ netstatdaar gewoon.

Actieve netwerkverbindingen controleren

Hier ziet u alle huidige TCP/UDP-verbindingen: wie communiceert met wie. Als u externe IP-adressen ziet die u niet herkent, of als er verbindingen vastlopen in ‘ESTABLISHED’, is het wellicht de moeite waard om dit verder te onderzoeken. Dit kunt u doen:

• Loopnetstat
• Kijk naar de kolommen Lokaal adres en Buitenlands adres. Bijvoorbeeld, 192.168.1.5:443is een lokaal IP-adres met HTTPS-poort, terwijl 93.184.216.34:443is een externe server.
• Controleer de kolom Status : als er ESTABLISHED staat, is de verbinding actief. Als er TIME_WAIT of CLOSE_WAIT staat, is er waarschijnlijk alleen aan het opruimen.

Hiermee kunt u verdachte of bestaande verbindingen opsporen, vooral wanneer u vreemde buitenlandse IP-adressen of verbindingen ziet die er niet zouden moeten zijn.

Hoe alle luisterpoorten worden weergegeven

Als je wilt zien welke poorten open zijn en wachten op verbindingen (luisteren), moet je de -aschakelaar toevoegen. Sommige apps luisteren mogelijk stil naar verkeer, en deze schakelaar laat je ze allemaal zien.

• Loopnetstat -a
• Blader door de lijst en zoek naar items met LUISTEREN onder de kolom Staat.
• Identificeer apps of services die aan deze poorten zijn gekoppeld. Soms zie je poortnummers zoals 80, 443 of 3389 – deze worden vaak gebruikt voor respectievelijk web, HTTPS en extern bureaublad. Als je poorten tegenkomt die je niet herkent, kan het de moeite waard zijn om dieper te graven.

Houd er rekening mee dat er in deze poorten malware of bloatware verborgen kan zitten, dus wees alert op ongebruikelijke zaken.

Hoe u kunt vinden welke app een specifieke poort gebruikt

Zodra u een verdachte poort opmerkt, wilt u waarschijnlijk weten welk proces deze gebruikt. Hiervoor moet u de PID (proces-ID) in de uitvoer van de -oswitch opnemen.

• Loopnetstat -ano
• Zoek het poortnummer in de uitvoer en controleer vervolgens de PID in de laatste kolom.
• Om die PID aan een app te koppelen, open je Taakbeheer ( Ctrl + Shift + Esc ), ga je naar het tabblad Details en zoek je de PID. Die geeft aan welk proces verantwoordelijk is. Soms is het duidelijk, soms minder duidelijk: sommige malware kan app-namen vervalsen, dus controleer het als er iets niet klopt.

Dit is een redmiddel als u sluwe processen wilt identificeren of gewoon wilt zien wat uw netwerkbronnen opeist.

Hoe u protocolstatistieken kunt controleren

Als er netwerkproblemen blijven optreden, kunt u door de protocolstatistieken te controleren, zien of er verloren pakketten of resets zijn die op een probleem wijzen. Voer het volgende uit:

• netstat -s
• Bekijk de uitvoer om het aantal TCP- en UDP-fouten, resets of verwijderde pakketten te zien. Soms zie je een piek in fouten, wat wijst op netwerkcongestie of -interferentie. Vergelijk tijdens het oplossen van problemen de statistieken over een langere periode of na specifieke acties om patronen te ontdekken.

Hoe u live verbindingswijzigingen kunt bekijken

Voor realtime monitoring kunt u Netstat periodiek laten vernieuwen om de verbindingsgegevens te bekijken terwijl deze zich voordoen. Zoals dit:

• Loopnetstat -an 5
• Dit wordt elke 5 seconden vernieuwd en de verbindingen worden live bijgewerkt. Het kan rommelig of snel zijn, dus verwacht geen perfecte helderheid, maar het is handig om verbindingspogingen of verbroken verbindingen direct in de gaten te houden. Soms werkt het gewoon niet op bepaalde configuraties of heeft het extra parameters nodig, dus experimenteer er gerust mee als dat nodig is.

Veelgestelde vragen over Netstat-opdrachten